Компьютерно-техническая экспертиза

Компьютерно техническая экспертиза — исследование компьютеров, телефонов, носителей информации, программного обеспечения и цифровых следов, которое проводит эксперт с профильной подготовкой, чтобы ответить на вопросы суда или стороны спора о фактах, недоступных для установления без специальных знаний в области информационных технологий.

Такая экспертиза нужна, когда спор держится на электронных доказательствах. Переписка в мессенджере, выгрузка из учетной системы, журнал входов в личный кабинет, файл договора с «неправильной» датой создания, программа, сданная подрядчиком с отступлениями от технического задания, — все это суд оценивает по правилам о доказательствах, и без заключения специалиста большинство таких материалов остаются спорными. Сторона утверждает, оппонент отрицает, а суд не вправе подменять специальные знания собственным мнением.

АНО «СЗЭПЦ» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям России. АНО «СЗЭПЦ» — некоммерческое судебное экспертное учреждение, зарегистрировано Министерством юстиции Российской Федерации под учетным номером 7814053482. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах. На этой странице описано, что устанавливает судебная компьютерная экспертиза, какие объекты исследуются, как правильно сформулировать вопросы, как проходит проведение компьютерно технической экспертизы и чем заключение эксперта отличается от заключения специалиста.

Что такое компьютерно техническая экспертиза

Компьютерно техническая экспертиза — самостоятельный род судебной экспертизы. Ее предмет составляют фактические данные о компьютерных средствах, программах и информации, которые устанавливаются на основе специальных знаний. Эксперт отвечает на вопросы факта: существовал ли файл на носителе к определенной дате, вносились ли изменения в запись базы данных, какое устройство использовалось для входа в систему, соответствует ли программа согласованным требованиям. Правовую оценку этих фактов дает суд.

В системе государственных судебно-экспертных учреждений Министерства юстиции Российской Федерации этот род экспертизы закреплен приказом Минюста России от 20 апреля 2023 года № 72, который утвердил перечень родов (видов) судебных экспертиз и перечень экспертных специальностей. Компьютерно-техническую экспертизу там ведет специальность «Исследование информационных компьютерных средств». Перечень обязателен для государственных учреждений Минюста, но на практике он задает общий ориентир и для негосударственных экспертов: суды сверяют с ним наименование рода экспертизы в определении.

Негосударственная судебная компьютерная экспертиза законом не ограничена. Распоряжение Правительства Российской Федерации от 16 ноября 2021 года № 3214-р, которое действует с 1 июля 2024 года, закрепляет за государственными организациями судебно-медицинские, судебно-психиатрические и отдельные пожарно-технические экспертизы. Компьютерно-техническая экспертиза в этот перечень не входит, поэтому суд вправе поручить ее негосударственной организации или конкретному эксперту по своему выбору.

В литературе и в определениях судов встречаются разные наименования: компьютерная экспертиза, судебная компьютерно техническая экспертиза, экспертиза цифровых доказательств, компьютерно-криминалистическое исследование. Для гражданского и арбитражного процесса существенно одно — в определении должен быть назван род экспертизы, понятный эксперту, и вопросы, которые относятся к его компетенции. Разночтения в названии определение не порочат, а вот вопрос правового характера («законно ли использование программы») эксперт разрешать не вправе.

Задачи компьютерной экспертизы

Задачи компьютерной экспертизы делятся на идентификационные, диагностические и классификационные. Идентификационные задачи отвечают на вопрос «то же ли это»: тот ли носитель изъят, тот ли файл передан, та ли версия программы установлена у заказчика. Диагностические устанавливают свойства и состояние объекта: исправен ли жесткий диск, есть ли следы удаления, вносились ли изменения, работает ли функция так, как описано в документации. Классификационные относят объект к определенной группе — например, к вредоносным программам или к средствам удаленного доступа.

На практике задачи компьютерной экспертизы формулируются через конкретные обстоятельства дела. В корпоративном споре это установление того, кто и когда выгрузил клиентскую базу. В споре по договору разработки устанавливается объем фактически выполненных работ и соответствие результата техническому заданию. В трудовом споре выясняют, был ли работник подключен к рабочей системе в часы, указанные в табеле. В семейном или наследственном споре проверяют подлинность переписки, на которую ссылается одна из сторон.

Отдельная группа задач связана с восстановлением информации. Эксперт устанавливает, какие файлы были удалены, какие из них можно восстановить полностью, а какие только фрагментарно, и какие следы остались в служебных областях файловой системы. Результат восстановления зависит от типа носителя: на твердотельных накопителях после команды очистки блоков данные часто утрачиваются безвозвратно, на магнитных дисках шансы выше.

Возможности компьютерной экспертизы

Возможности компьютерной экспертизы шире, чем обычно предполагают стороны, но у них есть пределы. Эксперт способен установить хронологию событий по системным журналам, метаданным файлов и записям в базах данных приложений. Он может выявить признаки редактирования изображения или документа, найти следы работы с определенной программой, реконструировать сетевые подключения, определить устройство, с которого создан файл, если такие сведения сохранились в самом файле.

Возможности компьютерной экспертизы ограничены сохранностью следов. Если носитель отформатирован и перезаписан, если телефон сброшен до заводских настроек с шифрованием пользовательского раздела, если журналы сервера хранились тридцать дней и уже удалены, эксперт укажет в заключении, что установить обстоятельство невозможно, и объяснит причину. Вероятный вывод в таких условиях допустим, но суд оценивает его с меньшим весом, чем категорический.

Вторая граница касается личности пользователя. Компьютерная экспертиза устанавливает, что действие совершено под определенной учетной записью с определенного устройства в определенное время. Кто физически сидел за клавиатурой, экспертиза напрямую не отвечает: этот вывод суд делает на совокупности доказательств, включая показания свидетелей и сведения о доступе к устройству.

Третья граница — правовая. Вопросы о том, нарушены ли исключительные права, законно ли уволен работник, является ли переписка офертой, в компетенцию эксперта не входят. Корректная формулировка переводит их на язык фактов: совпадает ли исходный код, в какое время работник входил в систему, какой текст содержался в сообщении и отправлялось ли оно с указанного номера.

Виды компьютерно технических экспертиз

Классификация, которой пользуются эксперты и суды, строится по объекту исследования. Принято выделять четыре основных вида компьютерно технических экспертиз: аппаратно-компьютерную, программно-компьютерную, информационно компьютерную и компьютерно-сетевую. Внутри каждого вида есть устойчивые направления, у которых своя методика и свой набор инструментов. Один спор нередко требует сразу двух видов — тогда суд назначает комплексное исследование либо ставит перед одним экспертом вопросы из разных разделов.

Деление условное, и на это стоит смотреть трезво. Переписка в телефоне — информационный объект, но извлечь ее без исследования аппаратной части и операционной системы нельзя. Поэтому виды компьютерно технических экспертиз правильнее понимать как ракурсы исследования, а не как изолированные услуги. Выбор ракурса определяет, какие вопросы будут поставлены и какой эксперт их разрешит.

Аппаратно-компьютерная экспертиза

Объект исследования: физические устройства: системные блоки, ноутбуки, серверы, накопители, платы, периферия, контрольно-кассовая техника, сетевое оборудование. Эксперт устанавливает характеристики устройства, его исправность, причину отказа, наличие следов вскрытия и замены комплектующих, соответствие фактической конфигурации указанной в договоре или накладной. Подробнее об этом на странице об аппаратно-компьютерной экспертизе.

Типовой повод — спор о поставке. Покупатель получил серверы, которые по документам укомплектованы одними процессорами и памятью, а фактически другими. Или оборудование вышло из строя в гарантийный срок, и нужно установить, производственный это дефект или последствие перепада напряжения. Здесь аппаратное исследование иногда дополняется электротехническим.

Программно-компьютерная экспертиза

Объект исследования: программы и программные комплексы: их исходный и объектный код, функциональность, документация, история версий. Эксперт определяет назначение программы, ее функциональные возможности, соответствие техническому заданию, наличие недокументированных функций, признаки заимствования кода. Для споров об исключительных правах на программу для электронных вычислительных машин по статье 1261 Гражданского кодекса Российской Федерации это основной вид исследования.

Эксперт сравнивает не названия файлов и не интерфейс, а структуру кода, алгоритмы, уникальные фрагменты, комментарии, ошибки, перешедшие из одной программы в другую. Совпадение типовых библиотек выводом о заимствовании не является — оно ожидаемо для программ на одном языке и одной платформе. Отдельно исследуются программы на платформе «1С»: доработки конфигурации, корректность настройки, изменения в регистрах учета. Этому посвящена страница об экспертизе 1С.

Информационно компьютерная экспертиза

Информационно компьютерная экспертиза исследует данные: файлы, документы, изображения, записи баз данных, сообщения, журналы, историю браузера, метаданные. Это самый востребованный вид в гражданском и арбитражном процессе, потому что спор почти всегда идет о содержании информации и ее истории — кто создал, когда, изменялась ли она, удалялась ли.

Информационно компьютерная экспертиза отвечает на вопросы о подлинности электронной переписки, о дате создания и последнего изменения документа, о наличии на носителе файлов с заданными признаками, о восстановлении удаленных записей. Подробно этот вид описан на отдельной странице об информационно-компьютерной экспертизе, а исследование файлов и баз данных — на странице об экспертизе обстоятельств создания и использования файлов и баз данных.

Компьютерно-сетевая экспертиза

Объект исследования: сетевые взаимодействия: подключения к серверам, передача данных, удаленный доступ, работа сайтов и сервисов. Эксперт устанавливает факт и время подключения, маршрут передачи данных, наличие удаленного доступа к рабочей станции, конфигурацию сетевого оборудования, признаки несанкционированного входа в учетную запись.

Сетевые следы распределены: часть хранится на устройстве пользователя, часть у провайдера, часть на серверах сервиса. Эксперт работает с тем, что предоставлено в материалы дела. Если нужны сведения оператора связи или владельца сервиса, их истребует суд по ходатайству стороны, и эту работу лучше спланировать до назначения экспертизы. Смежное направление — экспертиза сайта: содержание страниц на определенную дату, история изменений, принадлежность ресурса.

Экспертиза мобильных устройств

Телефоны и планшеты формально относятся к аппаратно-компьютерным объектам, но методика их исследования обособилась. У мобильных устройств свои операционные системы, свое шифрование, свои механизмы резервного копирования в облачные хранилища. Компьютерно техническая экспертиза телефона выделяется в практике в отдельное направление, и ниже ей посвящен самостоятельный раздел.

Навигатор: какая экспертиза нужна в вашей ситуации

Компьютерно техническая экспертиза объединяет несколько направлений, и для каждого на сайте есть отдельная страница с методикой, вопросами и ценами. Таблица помогает сразу найти свой случай.

Если ситуация затрагивает несколько направлений, отдельные экспертизы назначать не нужно: вопросы из разных разделов ставятся одному эксперту по компьютерно-технической специальности в одном определении суда.

Объекты компьютерно технической экспертизы

Объекты компьютерно технической экспертизы — это то, что эксперт получает в свое распоряжение и исследует. Перечень объектов определяет суд в определении о назначении экспертизы, а во внесудебном порядке — заказчик в договоре. К объектам относятся:

Компьютеры, ноутбуки, моноблоки, серверы и их отдельные комплектующие.

Носители информации: жесткие диски, твердотельные накопители, флеш-накопители, карты памяти, оптические диски, внешние накопители с сетевым интерфейсом.

Мобильные телефоны, планшеты, умные часы, навигаторы, видеорегистраторы, иные устройства со встроенной памятью.

Программы и программные комплексы — в виде дистрибутивов, исходного кода, установленных экземпляров, а также сопроводительная документация: техническое задание, спецификации, руководства пользователя, акты приемки.

Электронные документы, файлы, архивы, образы носителей, выгрузки из баз данных и учетных систем, резервные копии.

Сетевое оборудование, журналы серверов и межсетевых экранов, сведения от операторов связи и владельцев интернет-сервисов, если они приобщены к делу.

Копии содержимого сайтов, электронная почта, данные облачных хранилищ, полученные законным путем.

Объекты компьютерно технической экспертизы должны поступить к эксперту в том состоянии, в каком они находились на момент спора. Каждое включение изъятого телефона, каждый запуск компьютера для «посмотреть, что там» меняет системные журналы и временные отметки. Поэтому эксперт с первых минут работы фиксирует состояние объекта и снимает с носителя посекторную копию, а исследование ведет уже на копии.

Бумажная распечатка переписки или скриншот объектом полноценного исследования не являются. Эксперт вправе исследовать изображение как файл, но вывод о подлинности переписки по картинке будет в лучшем случае вероятным. Для категорического вывода нужен сам носитель — телефон, компьютер, учетная запись с сохраненной историей.

Компьютерно техническая экспертиза телефона

Компьютерно техническая экспертиза телефона востребована в спорах, где главным доказательством становится переписка, звонки, геолокация или фотографии. Эксперт извлекает данные из памяти устройства, исследует базы данных мессенджеров и системных приложений, устанавливает время отправки и получения сообщений, выявляет удаленные записи и признаки редактирования.

Первый вопрос, который решается до начала работы, — доступ. Современные смартфоны шифруют пользовательский раздел, и без кода разблокировки объем извлекаемых данных резко сокращается. Владелец телефона сообщает код добровольно, либо суд обязывает сторону обеспечить доступ. Если код неизвестен, эксперт исследует то, что доступно без разблокировки, и резервные копии, а в заключении указывает, какие сведения получить не удалось и почему.

Второй вопрос — полнота. Мессенджеры хранят переписку по-разному: часть на устройстве, часть на серверах, часть в резервных копиях облака. Если переписка удалена с телефона, но сохранилась в резервной копии, эксперту нужен доступ к этой копии. Если сообщения самоуничтожающиеся, следов может не остаться совсем, и заключение прямо это укажет.

Типовые вопросы, которые решает компьютерно техническая экспертиза телефона: имеется ли в памяти устройства переписка с указанным абонентом за определенный период; вносились ли изменения в сообщения после их отправки; с какого номера и в какое время отправлено сообщение; имеются ли признаки удаления сообщений и можно ли их восстановить; соответствует ли изображение на скриншоте содержанию базы данных приложения. Переписка исследуется в связке с информационно-компьютерной экспертизой, а неисправность самого устройства — в рамках аппаратно-компьютерной.

Компьютерно техническая экспертиза телефона нужна не только для переписки. Фотографии и видео с устройства исследуются на предмет даты съемки и признаков монтажа, журнал звонков — на соответствие детализации оператора, сведения о местоположении — на соответствие заявленным перемещениям. В спорах о качестве самого телефона эксперт устанавливает характер дефекта, следы попадания жидкости, вскрытия и ремонта, состояние аккумулятора. Телефоны работника и работодателя, выданные в пользование, исследуются с учетом того, какие данные на них служебные, а какие личные: эксперт работает только в пределах вопросов определения суда.

Компьютерная экспертиза данных

Компьютерная экспертиза данных — ядро большинства корпоративных споров. Предмет исследования составляют записи учетных систем, журналы изменений, файлы общих папок, электронная почта, выгрузки из систем управления взаимоотношениями с клиентами. Эксперт восстанавливает хронологию операций и связывает каждую операцию с учетной записью, устройством и временем.

Характерный пример: спор с бывшим работником или партнером. Компания утверждает, что клиентская база скопирована перед уходом, работник отрицает. Компьютерная экспертиза данных устанавливает, подключались ли к рабочей станции внешние носители, какие файлы открывались и копировались, отправлялись ли они на личную почту или в облачное хранилище. Итоговый вывод зависит от того, насколько подробно система вела журналы и сохранились ли они к моменту исследования.

Другой частый случай: исправления в учете. Компьютерная экспертиза данных показывает, какие документы проведены задним числом, кто изменил суммы, когда удалены записи. Здесь исследование пересекается с бухгалтерским: эксперт по компьютерной части устанавливает факт и время изменения, а экономическую оценку дает эксперт-бухгалтер. Процедура поиска и извлечения удаленной информации описана также на странице об обнаружении данных.

Техническая экспертиза компьютерной техники

Техническая экспертиза компьютерной техники решает вопросы о качестве и исправности оборудования. Чаще всего она требуется в потребительских спорах и спорах о поставке: ноутбук перестал включаться через месяц, сервер не соответствует спецификации, монитор имеет дефект матрицы, компьютер собран из бывших в употреблении комплектующих под видом новых.

Техническая экспертиза компьютерной техники устанавливает наличие дефекта, его характер — производственный или эксплуатационный, время возникновения, возможность и стоимость устранения, наличие следов ремонта и вскрытия. Для отнесения товара к технически сложным имеет значение перечень, утвержденный постановлением Правительства Российской Федерации от 10 ноября 2011 года № 924: персональные компьютеры и планшеты в нем есть, а значит, права покупателя при обнаружении недостатка определяются с учетом этого статуса.

Если спор касается рыночной стоимости оборудования или размера ущерба в денежном выражении, к технической экспертизе компьютерной техники добавляется товароведческая. Технический эксперт отвечает, что сломано и почему, товаровед — сколько это стоит.

Разграничение со смежными исследованиями

Компьютерная экспертиза граничит с несколькими родами экспертиз и с процедурами, которые экспертизой не являются. Путаница здесь стоит сторонам времени: суд откладывает заседание, потому что вопросы поставлены не тому эксперту, или отказывает в приобщении документа, который по форме не подходит под нужное доказательство.

Техническая экспертиза документов исследует бумажный документ: способ изготовления, последовательность нанесения реквизитов, давность. Если договор распечатан, а спор идет о том, когда создан его электронный файл, нужна компьютерная экспертиза. Если спор о том, когда нанесена подпись на бумаге, — техническая экспертиза документов. Часто нужны обе, и суд назначает их одновременно.

Лингвистическая экспертиза отвечает на вопросы о смысле текста: содержит ли сообщение угрозу, признание долга, порочащие сведения. Компьютерная экспертиза отвечает, было ли сообщение отправлено и не изменено ли оно. Смешивать эти вопросы в одном определении не следует — эксперт по информационным технологиям откажется толковать смысл, а лингвист не станет исследовать базу данных мессенджера.

Нотариальный осмотр сайта или переписки — обеспечение доказательств по статьям 102 и 103 Основ законодательства Российской Федерации о нотариате. Нотариус фиксирует то, что видно на экране, но не исследует метаданные и не устанавливает подлинность. Протокол осмотра полезен как быстрая фиксация, пока страница не удалена. Если оппонент заявит о подделке, протокола будет недостаточно, и потребуется экспертиза.

Аудит информационной безопасности — это оценка защищенности системы на будущее, а не установление фактов прошлого. Он выполняется по заказу владельца системы и заканчивается рекомендациями. Экспертиза отвечает на вопросы о конкретном событии. Смежная услуга описана на странице об экспертизе и аудите информационной безопасности.

Где применяется заключение АНО «СЗЭПЦ»

АНО «СЗЭПЦ» проводит компьютерно-технические экспертизы в гражданском, арбитражном и административном судопроизводстве, по делам об административных правонарушениях, а также во внесудебном порядке: для досудебного урегулирования, обоснования претензии, корпоративной проверки, подготовки к судебному процессу.

Исследование ведется на объектах, переданных судом, владельцем устройства или правообладателем программы, с фиксацией их состояния при поступлении и контрольными значениями копий. Заключение устанавливает технические факты (учетную запись, устройство, время, содержание операции), а правовую оценку этих фактов дает суд. Такая постановка делает выводы устойчивыми к возражениям: каждый вывод опирается на проверяемое наблюдение, а не на предположение эксперта о намерениях сторон.

Нормативная база

Правовой статус судебного эксперта и требования к заключению определяет Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации». Статьи 4, 8 и 16 устанавливают принципы независимости, объективности, полноты исследования и обязанности эксперта. Статья 25 перечисляет обязательные реквизиты заключения. Статья 41 распространяет эти правила на негосударственных экспертов.

Процессуальный порядок назначения и производства экспертизы закреплен в статьях 79–87 Гражданского процессуального кодекса Российской Федерации, статьях 82–87 Арбитражного процессуального кодекса Российской Федерации, статьях 77–83 Кодекса административного судопроизводства Российской Федерации и статье 26.4 Кодекса Российской Федерации об административных правонарушениях. Привлечение специалиста для консультации регулируют статья 188 Гражданского процессуального кодекса и статья 55.1 Арбитражного процессуального кодекса.

Разъяснения высших судов: постановление Пленума Высшего Арбитражного Суда Российской Федерации от 4 апреля 2014 года № 23 «О некоторых вопросах практики применения арбитражными судами законодательства об экспертизе», где разъяснены порядок назначения, отвод, вопросы эксперту и оценка заключения; постановление Пленума Верховного Суда Российской Федерации от 26 декабря 2017 года № 57 об использовании документов в электронном виде в деятельности судов. Для оценки электронной переписки как доказательства существенны статьи 55, 67 и 71 Гражданского процессуального кодекса и статьи 64, 71 и 75 Арбитражного процессуального кодекса.

Материально-правовой контекст задают Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральный закон от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи», статьи 160 и 434 Гражданского кодекса о письменной форме сделки и обмене электронными документами, статьи 1259–1261 Гражданского кодекса о программах и базах данных как объектах авторского права.

Методическую основу составляют стандарты. ГОСТ Р ИСО/МЭК 27037-2014 описывает идентификацию, сбор, получение и хранение свидетельств, представленных в цифровой форме. ГОСТ Р ИСО/МЭК 30121-2017 посвящен управлению рисками при судебной экспертизе цифровых свидетельств. ГОСТ Р 34.11-2012 устанавливает отечественную функцию хэширования, которой эксперт подтверждает неизменность копии носителя. Для споров о разработке программ применяются ГОСТ 34.602-2020 о техническом задании на автоматизированную систему и ГОСТ Р ИСО/МЭК 25010-2015 о модели качества программного продукта.

Простыми словами: закон определяет, кто и в каком порядке проводит экспертизу, а стандарты — как эксперт работает с цифровыми объектами, чтобы результат нельзя было оспорить по формальным основаниям. Ссылка на методику в заключении не формальность. Отсутствие такой ссылки — первое, что проверяет рецензент оппонента.

Назначение компьютерно технической экспертизы

Назначение компьютерно технической экспертизы в суде начинается с ходатайства стороны. Суд вправе назначить экспертизу и по своей инициативе, но в состязательном процессе обычно ждет, пока сторона докажет необходимость специальных знаний. Ходатайство подается письменно, в нем указываются обстоятельства, которые требуют установления, вопросы эксперту, предлагаемое экспертное учреждение или эксперт, объекты исследования и готовность оплатить работу.

С учетом разъяснений постановления Пленума Высшего Арбитражного Суда № 23 и практики судов общей юрисдикции к ходатайству прилагают сведения об экспертной организации: письмо о возможности проведения, сроке и стоимости, данные об образовании и стаже экспертов. Отсутствие такого письма — частая причина, по которой суд назначает экспертизу в учреждение, предложенное оппонентом. Письмо АНО «СЗЭПЦ» готовит по запросу стороны после предварительного анализа материалов.

Сторона, заявившая ходатайство, вносит сумму на депозит суда. В арбитражном процессе это условие назначения экспертизы по ходатайству, в гражданском суд вправе возложить оплату на одну или обе стороны. После вынесения определения эксперт получает материалы от суда, а не от стороны. Такой порядок гарантирует, что объекты не подменены.

Назначение компьютерно технической экспертизы оппонент вправе оспорить: заявить отвод эксперту, предложить свои вопросы и свою экспертную организацию. Суд окончательно формулирует вопросы сам и мотивирует отклонение вопросов сторон. Если вопросы сформулированы неточно, изменить их после вынесения определения можно только через новое определение, поэтому формулировки стоит выверить заранее.

Производство компьютерно технической экспертизы

Производство компьютерно технической экспертизы — процессуальная деятельность эксперта с момента получения определения суда до передачи заключения. Эксперт проверяет, достаточно ли объектов и материалов, соответствуют ли вопросы его специальности, может ли он ответить на них в установленный срок. Если нет, он направляет в суд ходатайство о предоставлении дополнительных материалов или сообщение о невозможности дать заключение.

Производство компьютерно технической экспертизы имеет процессуальные гарантии. Эксперт предупреждается об уголовной ответственности за заведомо ложное заключение по статье 307 Уголовного кодекса Российской Федерации, подписка приобщается к заключению. Эксперт не вправе самостоятельно собирать материалы для исследования, вступать в личные контакты со сторонами по существу дела, разглашать сведения, ставшие известными в ходе работы.

Стороны вправе присутствовать при производстве экспертизы, если это не мешает исследованию. В компьютерной экспертизе присутствие сторон имеет практический смысл на этапе вскрытия упаковки и снятия копии носителя: стороны видят, что объект поступил опечатанным, и получают значение контрольной суммы копии. Дальнейшее исследование на копии занимает дни и недели, и присутствовать при нем бессмысленно.

Производство судебных компьютерных экспертиз в арбитражном процессе

Производство судебных компьютерных экспертиз в арбитражных судах отличается от гражданского процесса несколькими деталями. Экспертиза назначается только по ходатайству стороны или с ее согласия, за исключением случаев проверки заявления о фальсификации доказательства по статье 161 Арбитражного процессуального кодекса. Денежные средства вносятся на депозитный счет суда до назначения. Суд устанавливает срок проведения экспертизы в определении.

Заявление о фальсификации электронного доказательства — самостоятельный повод для экспертизы. Если оппонент представил выгрузку из учетной системы или распечатку электронной переписки, а сторона считает их подложными, она подает письменное заявление. Суд разъясняет уголовно-правовые последствия, исключает доказательство с согласия представившей его стороны, а при отказе — проверяет заявление, в том числе назначением экспертизы.

Производство судебных компьютерных экспертиз по делам о банкротстве связано с восстановлением учета должника, поиском удаленных документов, установлением даты составления договоров, которые конкурсный управляющий оспаривает как подозрительные сделки. Эксперт по компьютерной части работает здесь в паре с экономистом.

Судебная компьютерная экспертиза в гражданском процессе

Судебная компьютерная экспертиза в судах общей юрисдикции назначается по спорам с участием граждан: защита прав потребителей при покупке техники, трудовые споры, семейные и наследственные дела, защита чести и деловой репутации, взыскание долга по переписке. Суд вправе назначить экспертизу по своей инициативе, если без нее дело не может быть правильно разрешено.

В гражданском процессе судебная компьютерная экспертиза чаще всего нужна для оценки переписки. Сторона ссылается на сообщения в мессенджере как на признание долга или согласование условий, оппонент заявляет, что сообщений не было или они изменены. Судебная практика допускает переписку как доказательство при условии, что ее достоверность проверяема. Экспертиза эту проверку и обеспечивает.

Категории дел

Компьютерная экспертиза применяется в спорах следующих категорий:

Договоры на разработку программ, сайтов, внедрение учетных систем: объем и качество работ, соответствие техническому заданию, причины неработоспособности.

Исключительные права на программы и базы данных: заимствование кода, незаконное использование экземпляров.

Корпоративные конфликты: выгрузка баз данных, доступ к почте, уничтожение документации, изменения в учете.

Трудовые споры: рабочее время по журналам систем, разглашение коммерческой тайны, использование служебного оборудования.

Споры о поставке и качестве техники.

Банкротство: восстановление электронного учета, давность файлов договоров.

Переписка как доказательство: признание долга, согласование условий, уведомление контрагента.

Защита деловой репутации: установление факта размещения сведений на сайте, даты публикации, принадлежности аккаунта в пределах технически доступных сведений.

Страхование и кибер-инциденты: хронология атаки, причина утраты данных, объем ущерба в натуральном выражении.

Вопросы компьютерно технической экспертизы

Вопросы компьютерно технической экспертизы решают исход работы в большей мере, чем выбор эксперта. Правильный вопрос касается факта, относится к конкретному объекту, указывает период и не предрешает ответ. Неправильный вопрос либо правовой («нарушены ли права истца»), либо слишком общий («что имеется на жестком диске»), либо содержит готовый вывод («каким образом ответчик удалил файлы»).

Ниже приведены типовые вопросы компьютерно технической экспертизы по основным видам. Их нужно адаптировать под материалы дела: заменить общие указания на конкретные наименования файлов, номера телефонов, адреса электронной почты, периоды.

Вопросы по информационным объектам

Имеются ли на представленном носителе файлы, содержащие указанный текст или изображение? Если да, каковы их имена, расположение и временные отметки?

Какова дата создания и дата последнего изменения файла договора? Имеются ли признаки изменения системных временных отметок файла?

Вносились ли изменения в содержание документа после указанной даты? Если да, какие именно?

Имеются ли на носителе признаки удаления файлов в период с одной даты по другую? Возможно ли их восстановление?

Имеется ли в базе данных учетной системы запись о проведении документа? Кем, под какой учетной записью и когда она создана и изменена?

Вопросы по мобильным устройствам

Имеется ли в памяти телефона переписка между указанными абонентами за указанный период? Каково ее содержание?

Имеются ли признаки изменения или удаления сообщений в переписке? Если сообщения удалены, возможно ли их восстановление?

Соответствует ли изображение на представленном скриншоте данным, хранящимся в памяти устройства?

С какого абонентского номера или учетной записи отправлено сообщение, и в какое время?

Вопросы по программам

Соответствует ли переданная программа требованиям технического задания? Если нет, в чем выражаются несоответствия?

Какой объем работ по техническому заданию фактически выполнен?

Имеются ли в исходном коде одной программы фрагменты, совпадающие с исходным кодом другой? Каков объем совпадений, и можно ли объяснить их использованием общедоступных библиотек?

Имеются ли в программе функции, не описанные в документации?

Вопросы по сетевым событиям и сайтам

Имел ли место удаленный доступ к рабочей станции в указанный период? С какого сетевого адреса?

Какое содержание имела страница сайта на указанную дату по данным представленных материалов?

Имеются ли в журналах сервера сведения о входе в учетную запись в указанное время?

Судебная компьютерно техническая экспертиза вопросы: как сформулировать без ошибок

Судебная компьютерно техническая экспертиза вопросы получает из определения суда, а суд берет их из ходатайств сторон. На этой стадии большинство ошибок и совершается. Формулировку проверяют по пяти признакам.

Первый признак: вопрос касается факта, а не права. «Является ли переписка доказательством заключения договора» — правовой вопрос. «Имеется ли в памяти телефона сообщение с указанным текстом, и отправлялось ли оно с указанного номера» — фактический.

Второй признак: вопрос привязан к объекту. Эксперт отвечает только об объектах, которые переданы. Вопрос о переписке на телефоне, который суд не истребовал, останется без ответа.

Третий признак: вопрос ограничен периодом. Полный анализ носителя на два терабайта без указания периода и критериев поиска займет месяцы и приведет к заключению на тысячу страниц, большая часть которых не относится к делу.

Четвертый признак: вопрос не содержит вывода. «Каким способом ответчик изменил документ» предполагает, что ответчик его изменил. Корректная формулировка: «вносились ли изменения, если да, то каким способом и под какой учетной записью».

Пятый признак: вопрос разрешим. Если журналы не велись, спрашивать об их содержании бессмысленно. Предварительный анализ материалов показывает, что эксперт реально может установить, и позволяет отказаться от вопросов, которые дадут вывод о невозможности.

Компьютерно техническая экспертиза вопросы эксперту: типичные дефекты формулировок

Компьютерно техническая экспертиза вопросы эксперту нередко получает в формулировках, которые переписаны из чужих определений. Такие вопросы ориентированы на уголовные дела и неприменимы в гражданском споре: «установить наличие вредоносных программ, предназначенных для несанкционированного уничтожения информации», когда спор идет о качестве сайта. Эксперт ответит, но ответ суду не поможет.

Второй распространенный дефект: вопросы, дублирующие друг друга с разной формулировкой. Эксперт отвечает на каждый, заключение раздувается, срок растет, а оппонент получает повод указывать на внутренние противоречия.

Третий дефект: отсутствие вопроса о методике. Если сторона заранее понимает, что оппонент будет оспаривать дату создания файла, в определение полезно включить вопрос о наличии признаков изменения системных временных отметок. Без такого вопроса эксперт ограничится чтением отметок, и вывод будет уязвим.

Четвертый дефект: смешение родов экспертиз. Вопросы о смысле текста, о стоимости оборудования, о подписи на бумажном документе ставятся другим экспертам. Если их включить в перечень для специалиста по информационным технологиям, он сообщит суду о невозможности ответа, и время будет потеряно. Помощь в формулировании вопросов АНО «СЗЭПЦ» оказывает в рамках предварительного анализа материалов.

Судебная компьютерно техническая экспертиза вопросы на разных стадиях процесса

Судебная компьютерно техническая экспертиза вопросы получает один раз, в определении о назначении. Дополнить или изменить их можно, если суд вынесет новое определение: о дополнительной экспертизе при неполноте заключения или о повторной при сомнениях в его обоснованности. В апелляционной инстанции ходатайство о назначении экспертизы рассматривается, только если сторона обоснует, почему не могла заявить его в суде первой инстанции. Это следует из статьи 327.1 Гражданского процессуального кодекса и части 2 статьи 268 Арбитражного процессуального кодекса. Поэтому перечень вопросов стоит продумывать сразу с расчетом на все спорные обстоятельства.

Компьютерно техническая экспертиза вопросы эксперту в судебном заседании

Помимо вопросов в определении, у сторон есть второй инструмент: вопросы к эксперту при его допросе в заседании. Компьютерно техническая экспертиза вопросы эксперту в этом формате получает устно, после оглашения заключения, по правилам статьи 187 Гражданского процессуального кодекса и части 3 статьи 86 Арбитражного процессуального кодекса. Эффективны вопросы о методике и о границах вывода: каким способом извлечены данные, сверялись ли временные отметки из разных источников, почему не исследована резервная копия, могла ли программа сама изменить дату файла. Ответы фиксируются в протоколе и становятся частью доказательственной базы. Подготовить такие вопросы заранее помогает специалист, который изучил заключение до заседания.

Проведение компьютерно технической экспертизы: этапы

Проведение компьютерно технической экспертизы подчинено одному принципу: исследование не должно менять объект. Все остальное — порядок стадий, выбор инструментов, документирование — вытекает из этого принципа. Нарушение его на любой стадии дает оппоненту основание заявить, что выводы получены на измененных данных.

Приемка объектов

Эксперт вскрывает упаковку в присутствии сторон, если они явились, либо фиксирует вскрытие фото- и видеосъемкой. В акте указываются целостность упаковки и печатей, внешний вид устройства, серийные номера, повреждения, состояние питания. Телефон, который поступил включенным, изолируют от сетей, чтобы исключить удаленную очистку.

Создание копии и контроль целостности

С носителя снимается посекторная копия через аппаратный блокиратор записи, который физически не позволяет изменить исходный носитель. Для оригинала и копии вычисляются значения хэш-функции. Совпадение значений доказывает, что копия идентична оригиналу. Значения вносятся в заключение, и любой другой специалист может повторить вычисление и проверить результат.

С мобильными устройствами полная посекторная копия получается не всегда. Используется логическое или файловое извлечение, и в заключении указывается, какой способ применен и каких данных он не охватывает. Эта деталь существенна: если способ извлечения не описан, рецензент оппонента укажет, что эксперт мог упустить часть информации.

Исследование

Исследование ведется на копии. Эксперт восстанавливает файловую систему, извлекает журналы операционной системы, базы данных приложений, метаданные, историю подключений. Сопоставляет временные отметки из разных источников: файловой системы, самого файла, журналов, записей приложения. Расхождение между ними — главный индикатор изменения даты задним числом.

Для программ исследование включает запуск в контролируемой среде, тестирование функций по техническому заданию, сравнение исходного кода с помощью средств поиска совпадений, анализ истории версий в системе контроля версий, если она передана.

Оформление результатов

Результаты фиксируются в исследовательской части заключения с приложением таблиц, снимков экрана, выписок из журналов. Каждый вывод опирается на конкретное наблюдение, которое можно проверить. Объекты после исследования упаковываются, опечатываются и возвращаются в суд вместе с заключением, а копии хранятся в течение срока, согласованного с судом.

Методы исследования

Методы компьютерной экспертизы делятся на общие и специальные. Общие методы (наблюдение, измерение, сравнение, описание) применяются в любой экспертизе. Специальные разработаны для цифровых объектов.

Посекторное копирование и хэширование подтверждают неизменность данных. Анализ файловой системы восстанавливает структуру, удаленные записи и служебные области. Сигнатурный поиск находит файлы по характерным последовательностям байтов независимо от имени и расширения — так выявляется документ, переименованный в изображение. Анализ метаданных извлекает сведения об авторе, программе, устройстве, датах, встроенные в сам файл.

Анализ журналов и артефактов операционной системы показывает запуск программ, подключение внешних носителей, вход пользователей. Анализ баз данных приложений восстанавливает переписку, историю браузера, историю звонков. Тестирование программ по методике «черного ящика» проверяет функции без доступа к коду, по методике «белого ящика» — с анализом кода. Сравнительный анализ исходных текстов программ выявляет совпадения и их характер.

Методы выбираются экспертом самостоятельно, но заключение обязано их назвать и описать. Это прямое требование статьи 25 Федерального закона № 73-ФЗ. Суд не обязан разбираться в технических деталях, но вправе проверить, указана ли методика и воспроизводим ли результат.

Что передать для проведения экспертизы

Для предварительного анализа достаточно копий документов. Для самой экспертизы нужны оригиналы объектов. Минимальный перечень:

Определение суда о назначении экспертизы либо, во внесудебном порядке, описание задачи и вопросов.

Сами устройства и носители в том состоянии, в котором они находились на момент спора, — без включения, без попыток «проверить» содержимое.

Пароли и коды разблокировки, если владелец их сообщает добровольно или суд обязал его обеспечить доступ.

Для программ: дистрибутивы, исходный код, техническое задание, спецификации, акты приемки, переписку сторон о требованиях, доступ к тестовому стенду.

Для учетных систем: резервную копию базы данных на дату, существенную для спора, и сведения о пользователях системы.

Для сетевых событий: журналы серверов, межсетевых экранов, сведения провайдера, если они истребованы судом.

Опись передаваемого с указанием серийных номеров.

Лишний объект лучше передать, чем недодать. Дополнительные материалы по ходу экспертизы запрашиваются через суд, и каждый такой запрос сдвигает срок на недели.

Сроки

Срок устанавливает суд в определении, во внесудебном порядке — договор. Реальный срок зависит от объема носителей, числа устройств, типа задачи и доступности данных.

Ориентиры по видам работ приведены в таблице «Стоимость и сроки». Быстрее всего выполняются исследование отдельного файла документа (3–5 дней) и переписки (3–8 дней), дольше выполняются экспертиза программы на соответствие техническому заданию и исследование причин отказов программных комплексов (10–20 дней), аудит информационной безопасности организации (10–20 дней). Если доступ к зашифрованным данным отсутствует или объем носителей исчисляется терабайтами, срок определяется после предварительного анализа.

Срок продлевается, когда эксперт запрашивает дополнительные материалы. Суд рассматривает ходатайство эксперта и истребует материалы у сторон. Поэтому основная экономия времени — в подготовке: полный комплект объектов и точно сформулированные вопросы.

Заключение компьютерно технической экспертизы

Заключение компьютерно технической экспертизы оформляется письменно и подписывается экспертом. Структура определена статьей 25 Федерального закона № 73-ФЗ, статьей 86 Гражданского процессуального кодекса и статьей 86 Арбитражного процессуального кодекса.

Вводная часть содержит дату и место производства экспертизы, основание в виде определения суда с реквизитами, сведения об эксперте: образование, специальность, стаж, ученая степень при наличии, подписку о предупреждении об ответственности, перечень объектов и вопросов. Исследовательская часть описывает состояние объектов при поступлении, способ копирования, контрольные значения, примененные программные и аппаратные средства, ход исследования по каждому вопросу. Выводы излагаются по каждому вопросу в той последовательности, в которой вопросы поставлены.

Выводы бывают категорическими, вероятными и выводами о невозможности решения вопроса. Категорический вывод: «файл создан не ранее 12 марта». Вероятный: «вероятно, изменения внесены после указанной даты», он допустим, когда следы неполны, но суд оценивает его осторожно. Вывод о невозможности сопровождается объяснением причин: носитель перезаписан, данных нет, вопрос вне компетенции.

Приложения к заключению компьютерно технической экспертизы — самая объемная часть: выписки из журналов, таблицы временных отметок, снимки экрана, листинги кода, перечни восстановленных файлов. Часть приложений передается на носителе, который упаковывается и опечатывается. Заключение компьютерно технической экспертизы без приложений проверить невозможно, и оппонент обязательно это отметит.

Эксперт компьютерно технической экспертизы: требования

Эксперт компьютерно технической экспертизы должен иметь высшее образование в области информационных технологий, вычислительной техники или информационной безопасности и подготовку по судебно-экспертной специальности. Для негосударственных экспертов закон не требует обязательной аттестации, но суд проверяет квалификацию по документам: диплом, удостоверение о повышении квалификации, сертификат соответствия, стаж экспертной работы.

Эксперт компьютерно технической экспертизы отвечает перед судом лично, а не организация, в которой он работает. Поэтому в ходатайстве указывается конкретный эксперт или несколько кандидатур, а к письму экспертной организации прикладываются копии документов о квалификации. Если эксперта заменяют после назначения, суд выносит новое определение.

Практическое требование, которое не записано в законе, — опыт выступления в суде. Суд вызывает эксперта для пояснений, а оппонент задает вопросы о методике, о выборе программных средств, о том, почему не исследованы другие источники. Эксперт, который не может объяснить свой вывод простым языком, ослабляет даже технически безупречное заключение.

Эксперт компьютерная экспертиза: как проверить квалификацию

Эксперт компьютерная экспертиза — такой запрос вводят, когда ищут конкретного специалиста для ходатайства или для оценки заключения оппонента. Проверка квалификации сводится к нескольким шагам.

Сопоставить образование с задачей. Специалист по сетям и специалист по мобильным устройствам — разные квалификации. Если вопрос касается исходного кода, эксперт должен иметь подготовку в программировании.

Проверить стаж именно экспертной работы, а не общий стаж в информационных технологиях. Судебный эксперт с опытом администрирования, но без опыта экспертиз, часто пропускает процессуальные требования.

Посмотреть, какие программные средства эксперт применяет, и есть ли у организации право на их использование. Заключение, полученное с помощью программ без лицензии, оппонент будет оспаривать.

Уточнить, не связан ли эксперт со сторонами. Основания для отвода перечислены в статье 18 Гражданского процессуального кодекса и статье 23 Арбитражного процессуального кодекса.

Эксперт компьютерная экспертиза: документы для ходатайства

К ходатайству прилагают копии диплома о высшем образовании, документов о профессиональной переподготовке по судебно-экспертной специальности, удостоверений о повышении квалификации, сведения о стаже экспертной работы. Запрос эксперт компьютерная экспертиза в поисковой строке обычно приводит на страницы организаций, а не конкретных специалистов, поэтому сведения о кандидатуре эксперта стоит запросить у организации вместе с письмом о сроке и стоимости. Суд вправе предложить сторонам представить дополнительные сведения о кандидатуре, если представленных документов недостаточно.

Заключение специалиста до суда

Не каждое исследование должно быть судебной экспертизой. До подачи иска, при подготовке претензии, в корпоративной проверке сторона заказывает внесудебное исследование — заключение специалиста. Оно не заменяет судебную экспертизу, но выполняет две задачи: показывает, есть ли доказательства вообще, и становится основанием для ходатайства о назначении экспертизы.

В суде заключение специалиста оценивается как письменное доказательство наряду с другими. Если оппонент его не оспаривает, суд может положить его в основу решения. Если оспаривает, заключение специалиста становится аргументом в пользу назначения судебной экспертизы и помогает сформулировать вопросы. Сам специалист может быть вызван в заседание для консультации.

Практическая ценность внесудебного исследования в компьютерной сфере еще в одном: оно фиксирует состояние данных на раннем этапе. Журналы сервера перезаписываются, аккаунты удаляются, телефоны теряются. Исследование, проведенное сразу после события, с копированием и контрольными значениями, позволяет судебному эксперту позже работать с той же копией.

Повторная экспертиза и рецензия

Если заключение компьютерно технической экспертизы вызывает сомнения, сторона вправе ходатайствовать о повторной экспертизе по части 2 статьи 87 Гражданского процессуального кодекса или части 2 статьи 87 Арбитражного процессуального кодекса. Основания: сомнения в обоснованности или противоречия в выводах. Если заключение неполно или неясно, назначается дополнительная экспертиза, в том числе тому же эксперту.

Чтобы суд удовлетворил ходатайство, сомнения нужно обосновать. Инструмент для этого: рецензия на заключение: письменное исследование другим специалистом, где указаны методические ошибки, неполнота исследования, отсутствие контрольных значений, выход за пределы компетенции. Определением Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации от 25 января 2018 года по делу № 305-ЭС17-11486 разъяснено, что такой документ образует мотивированные возражения стороны и отказ в его приобщении нарушает право на доказывание. Порядок подготовки рецензии описан в разделе о рецензии на экспертное заключение.

Возражения оппонента и ответы на них

Сторона, против которой вышло заключение, обычно выдвигает стандартный набор возражений. Их полезно знать заранее.

«Эксперт исследовал не оригинал». Ответ: контрольные значения хэш-функции копии и оригинала, внесенные в заключение, и акт приемки с описанием упаковки.

«Даты файла легко подделать». Это правда для отдельной временной отметки. Поэтому эксперт сопоставляет отметки из нескольких источников: файловой системы, внутренних метаданных документа, журналов операционной системы, резервных копий. Согласованная подмена во всех источниках оставляет следы.

«Переписка могла быть отредактирована». Эксперт проверяет базу данных мессенджера, служебные поля сообщений, порядок записей. Редактирование в приложении, если оно предусмотрено функцией, отражается в базе данных. Редактирование сторонними средствами нарушает внутреннюю структуру.

«Эксперт вышел за пределы вопросов». Ответ: сверка формулировок выводов с вопросами определения. Эксперт вправе указать обстоятельства, которые он установил по собственной инициативе, если они имеют значение для дела, — это прямо допускает статья 86 Гражданского процессуального кодекса.

Стоимость и сроки

Стоимость зависит от вида объектов, их числа и объема, количества вопросов, доступности данных и срочности. Предварительный анализ материалов бесплатный: по его итогам называется точная сумма и срок, а для суда готовится письмо с этими сведениями. Стоимость судебной экспертизы по определению суда вносится на депозит суда. Подробные таблицы по каждому направлению приведены на страницах соответствующих экспертиз.

Что сохранить до экспертизы

Большинство компьютерных экспертиз выигрывается или проигрывается до их назначения: следы исчезают быстрее, чем стороны успевают обратиться в суд. Несколько правил сохраняют доказательства.

Не включать и не разблокировать спорный телефон или компьютер, чтобы «показать» переписку, и не передавать его в ремонт.

Не пересохранять и не пересылать себе спорные файлы: копировать их на отдельный носитель, а оригинал больше не открывать.

Выгрузить журналы серверов, сетевого оборудования и средств защиты в день события: многие из них перезаписываются через несколько дней.

В учетной системе «1С» проверить и при необходимости увеличить срок хранения журнала регистрации, сохранить резервные копии за спорный период.

Сохранить репозиторий программы с полной историей и выгрузку системы задач, если спор касается разработки.

Зафиксировать страницы сайта полной копией с датой и адресом, а не только снимком экрана.

Намокшую технику не включать, замененные при ремонте детали не выбрасывать.

Сведения, которые хранятся у операторов связи, провайдеров и сервисов, запросить через суд как можно раньше: сроки их хранения ограничены.

Типичные ошибки сторон

Ошибки, которые обесценивают компьютерную экспертизу, почти всегда совершаются до ее назначения.

Сторона включает телефон или компьютер, чтобы «показать суду переписку», и тем самым меняет журналы и временные отметки. Эксперт установит факт включения, а оппонент получит довод о возможном изменении данных.

В дело представляются скриншоты и распечатки вместо носителя. Когда оппонент заявляет о подделке, выясняется, что устройство продано или сброшено до заводских настроек.

Устройство передается эксперту напрямую, минуя суд, или хранится у стороны без упаковки. Цепочка хранения прерывается.

Вопросы переписываются из определений по уголовным делам и не относятся к предмету гражданского спора.

Вопросы ставятся правовые, и эксперт вынужден сообщить о невозможности ответа.

Не заявляется ходатайство об истребовании сведений у оператора связи или владельца сервиса, и эксперт работает только с данными устройства, которых недостаточно.

Сторона затягивает с исследованием после события, и журналы сервера успевают перезаписаться. В большинстве систем журналы хранятся ограниченный срок, от нескольких недель до нескольких месяцев.

Экспертизу поручают специалисту без экспертного опыта. Заключение формально верное, но не содержит контрольных значений и описания методики, и суд назначает повторную экспертизу.

Распространенные заблуждения

Заблуждение первое: удаленный файл восстановить можно всегда. На магнитных дисках шансы высоки, пока область не перезаписана. На твердотельных накопителях и в современных телефонах после удаления данные часто очищаются контроллером или остаются в зашифрованном виде без ключа.

Заблуждение второе: скриншот переписки — достаточное доказательство. Суды принимают скриншоты, если оппонент не спорит. Если спорит, без исследования устройства или учетной записи доказательство теряет силу.

Заблуждение третье: эксперт узнает, кто сидел за компьютером. Эксперт установит учетную запись, устройство и время. Связь с конкретным человеком суд устанавливает по совокупности доказательств.

Заблуждение четвертое: дата в свойствах файла доказывает время его создания. Отметка меняется при копировании, переносе на другой носитель, архивировании и может быть изменена намеренно. Для вывода нужен анализ нескольких источников.

Заблуждение пятое: компьютерную экспертизу проводят только государственные учреждения. Закон такого ограничения не содержит, компьютерно-техническая экспертиза не входит в перечень, закрепленный за государственными организациями.

Заблуждение шестое: чем больше вопросов, тем надежнее. Лишние вопросы увеличивают срок и стоимость, а в заключении появляются выводы о невозможности, которые оппонент использует как довод о слабости всей экспертизы.

Что делать, если оппонент представил электронные доказательства, которые вы считаете подложными

Шаг первый. Сохраните собственные носители и устройства в неизменном виде. Не удаляйте переписку, не сбрасывайте телефон, не переустанавливайте систему. Если есть резервная копия на дату спорного события, сохраните и ее.

Шаг второй. Получите предварительный анализ материалов у специалиста. Он покажет, какие следы подделки можно выявить и какие объекты для этого нужны. На этом этапе можно заказать внесудебное исследование собственных носителей.

Шаг третий. Заявите суду письменно о фальсификации доказательства либо о несогласии с его достоверностью. В арбитражном процессе заявление подается по статье 161 Арбитражного процессуального кодекса, в гражданском — в рамках возражений с указанием на статью 186 Гражданского процессуального кодекса.

Шаг четвертый. Подайте ходатайство об истребовании оригинала носителя у оппонента и, при необходимости, сведений у оператора связи или владельца сервиса.

Шаг пятый. Подайте ходатайство о назначении компьютерной экспертизы с точными вопросами, предложением экспертной организации и ее письмом о сроке и стоимости. Внесите сумму на депозит суда.

Шаг шестой. После получения заключения проверьте его: наличие контрольных значений, описание способа извлечения данных, соответствие выводов вопросам. При дефектах подготовьте рецензию и ходатайство о повторной экспертизе.

Частые вопросы

Что устанавливает компьютерно техническая экспертиза?

Компьютерно техническая экспертиза устанавливает факты о компьютерах, телефонах, программах и данных: наличие и содержание информации, дату ее создания и изменения, признаки удаления и редактирования, работу программ, сетевые подключения. Правовую оценку этих фактов дает суд.

Кто может назначить судебную компьютерно техническую экспертизу?

Судебную экспертизу назначает суд определением — по ходатайству стороны или по своей инициативе. Во внесудебном порядке исследование заказывает сама сторона, и результат оформляется заключением специалиста.

Чем судебная компьютерная экспертиза отличается от заключения специалиста?

Судебная компьютерная экспертиза назначается судом, эксперт предупреждается об уголовной ответственности, объекты поступают от суда. Заключение специалиста заказывает сторона, оно оценивается как письменное доказательство и помогает обосновать ходатайство о назначении экспертизы.

Может ли негосударственная организация провести компьютерную экспертизу?

Да. Компьютерно-техническая экспертиза не входит в перечень, утвержденный распоряжением Правительства Российской Федерации от 16 ноября 2021 года № 3214-р. Суд вправе поручить ее негосударственной организации.

Какие объекты компьютерно технической экспертизы можно исследовать?

Компьютеры и серверы, носители информации, телефоны и планшеты, программы и их исходный код, электронные документы, базы данных, журналы серверов, копии сайтов, электронная почта, данные облачных хранилищ, полученные законно.

Проводится ли компьютерно техническая экспертиза телефона без пароля?

Объем извлекаемых данных без кода разблокировки резко сокращается из-за шифрования. Код сообщает владелец добровольно, либо суд обязывает сторону обеспечить доступ. Если код недоступен, эксперт исследует доступные данные и резервные копии и указывает в заключении пределы полученных сведений.

Можно ли установить, что переписку отредактировали?

В большинстве случаев да, если исследуется устройство или учетная запись, а не скриншот. Эксперт проверяет базу данных приложения, служебные поля сообщений и порядок записей.

Какие вопросы компьютерно технической экспертизы поставить в споре о разработке программы?

Соответствует ли программа техническому заданию, какие требования не выполнены, какой объем работ фактически выполнен, работоспособна ли программа в среде, указанной в договоре, каковы причины выявленных сбоев.

Что делать, если заключение компьютерно технической экспертизы вызывает сомнения?

Заказать рецензию на заключение, указать в ней методические ошибки и неполноту исследования, приобщить рецензию к делу и заявить ходатайство о повторной экспертизе по части 2 статьи 87 Гражданского процессуального кодекса или Арбитражного процессуального кодекса.

Сколько стоит компьютерно техническая экспертиза?

Диагностика компьютера или ноутбука стоит от 25 000 ₽, исследование файла документа от 35 000 ₽, исследование переписки, телефона, сайта и сетевой активности от 50 000 ₽, исследование базы 1С от 60 000 ₽, экспертиза программы на соответствие техническому заданию от 75 000 ₽. Итоговая сумма зависит от числа объектов, объема данных и количества вопросов и называется после бесплатного предварительного анализа.

Сколько стоит компьютерно техническая экспертиза телефона?

Исследование мобильного телефона или планшета стоит от 50 000 ₽, срок 5–8 дней. Цену увеличивают несколько устройств, большой объем переписки, восстановление удаленных сообщений и работа с резервными копиями.

Сколько стоит экспертиза программы на заимствование исходного кода?

Сравнительное исследование исходного кода двух программ стоит от 80 000 ₽, срок 7–14 дней. Эксперт исключает общие библиотеки, сравнивает структуру и фрагменты исходных текстов и выделяет признаки общего происхождения.

Сколько стоит исследование учетной системы на платформе «1С»?

Исследование базы 1С на изменения задним числом стоит от 60 000 ₽, срок 6–15 дней. Стоимость зависит от объема базы, длины спорного периода и сохранности журнала регистрации.

Сколько стоит рецензия на заключение компьютерно технической экспертизы?

От 50 000 ₽, срок 5–10 дней. Цена определяется объемом заключения и приложений, а также тем, нужно ли повторно вычислять контрольные значения копий носителей.

Сколько стоит техническая экспертиза компьютерной техники на наличие дефекта?

Диагностика компьютера, ноутбука или планшета с установлением характера дефекта стоит от 25 000 ₽, срок 5–10 дней. Исследование сервера или системы хранения стоит от 60 000 ₽.

Какие виды компьютерно технических экспертиз существуют?

Аппаратно-компьютерная, программно-компьютерная, информационно компьютерная и компьютерно-сетевая экспертиза. Отдельным направлением выделяется исследование мобильных устройств, программ на платформе «1С» и сайтов.

Как подготовить назначение компьютерно технической экспертизы, чтобы суд выбрал нужную организацию?

Приложить к ходатайству письмо экспертной организации о сроке, стоимости и кандидатурах экспертов с документами об их квалификации, сформулировать вопросы о фактах, указать объекты и внести сумму на депозит суда.

Основные термины

Посекторная копия: точная копия всего носителя, включая пустые и служебные области, в которых остаются следы удаленных файлов.

Хэш-функция: алгоритм, который вычисляет для набора данных короткое контрольное значение. Изменение одного бита данных меняет значение, поэтому совпадение подтверждает идентичность копии и оригинала.

Блокиратор записи: аппаратное устройство, которое пропускает команды чтения и блокирует команды записи на исследуемый носитель.

Метаданные: сведения о файле, записанные в файловой системе или внутри файла: автор, программа, устройство, даты создания и изменения.

Временная отметка: зафиксированное системой время события: создания, изменения, открытия файла, входа пользователя.

Артефакт: след работы пользователя или программы в операционной системе: запись журнала, ярлык, запись реестра, история подключения носителя.

Логическое извлечение: получение с мобильного устройства данных, доступных через интерфейсы операционной системы, без копирования всей памяти.

Сигнатура файла: характерная последовательность байтов в начале файла, по которой определяется его тип независимо от расширения.

Цепочка хранения: документированная последовательность передачи объекта от изъятия до возвращения в суд, подтверждающая отсутствие подмены.

Исходный код: текст программы на языке программирования, понятный человеку, до преобразования в исполняемый файл.

Техническое задание: документ с требованиями к программе или автоматизированной системе, с которым эксперт сравнивает результат работ.

Резервная копия: сохраненное состояние данных на определенный момент, позволяющее восстановить содержание устройства или базы на эту дату.

Коротко о главном

Компьютерно техническая экспертиза устанавливает факты о цифровых объектах: содержание информации, историю ее создания и изменения, работу программ, сетевые события. Правовую оценку дает суд, поэтому вопросы эксперту формулируются о фактах, с привязкой к объектам и периоду.

Результат зависит от сохранности следов. Устройство нельзя включать до экспертизы, скриншоты не заменяют носитель, журналы серверов живут ограниченный срок. Раннее внесудебное исследование с копированием и контрольными значениями сохраняет доказательства до назначения судебной экспертизы.

Судебная компьютерно техническая экспертиза может быть поручена негосударственной организации. Ходатайство убедительнее, когда к нему приложено письмо экспертной организации с кандидатурами экспертов, сроком и стоимостью.

Заключение проверяется по контрольным значениям, описанию способа извлечения данных, указанию методики и соответствию выводов вопросам. При дефектах сторона готовит рецензию и заявляет ходатайство о повторной экспертизе.

Об АНО «СЗЭПЦ»

АНО «Северо-Западный экспертно-правовой центр» проводит экспертизы с 1990 года и входит в число первых негосударственных экспертных организаций России. Головной офис расположен в Санкт-Петербурге, представительства работают в Москве, Екатеринбурге, Новосибирске, Казани, Краснодаре, Нижнем Новгороде и Ростове-на-Дону. АНО «СЗЭПЦ» — некоммерческое судебное экспертное учреждение, зарегистрировано Министерством юстиции Российской Федерации под учетным номером 7814053482. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах.

По компьютерно-технической экспертизе АНО «СЗЭПЦ» исследует компьютеры, телефоны, носители, программы, учетные системы и сайты, готовит заключения специалиста до суда, проводит судебные экспертизы по определениям судов, готовит рецензии на чужие заключения, помогает сформулировать вопросы для ходатайства. Предварительный анализ материалов бесплатный. Эксперты участвуют в судебных заседаниях и дают пояснения по заключению. Собственная испытательная лаборатория, штатный юридический отдел и фиксированная стоимость в договоре позволяют вести дело от досудебного исследования до решения суда в одной организации.

Направьте описание задачи и имеющиеся материалы на info@szexp.ru или позвоните: +7 (812) 982-86-69 (Санкт-Петербург и Москва), +7 (905) 222-86-69 (регионы Российской Федерации) — АНО «СЗЭПЦ» проведет предварительный анализ и подготовит письмо для суда о сроке и стоимости экспертизы.ременными технологиями и методиками, что позволяет дать полное и объективное экспертное заключение.

Узнать стоимость экспертизы